用途：对二进制或应用做静态优先的逆向工程与反编译，适用于检查、反编译、分类研判、恢复元数据等场景。默认把“不要运行此二进制”视为硬约束，即使用户未明说也默认静态检查，绝不修改目标，提取物写入 /tmp 下独立工作区。
主要能力：先做容器与运行时识别，再加载匹配参考。识别 Go（go version -m、.gopclntab）、打包 JS CLI（Bun/JSC、Node SEA、pkg/nexe、Deno）、原生 Apple（Mach-O、Swift、Objective-C）、.NET、Java/Kotlin、Rust/C/C++ 等。提供静态辅助脚本：python3 scripts/macos_app_triage.py <binary-or-app> --out /tmp/re-<target-name>，加 --allow-mount 才挂载 DMG；python3 scripts/go_binary_triage.py <binary> --out /tmp/re-<target-name>，可用 --go-cmd 指定 Go 调用。基础命令包括 file、shasum -a 256（macOS）、sha256sum（Linux）、strings -a 输出到文件后用 rg 查询。
使用方式：先记录范围与约束（是否允许执行、挂载、联网、提取、修改）；对产品行为先查官方文档与公开产物，建立预期功能矩阵；创建 mktemp -d /tmp/re-<target-name>.XXXXXX 工作区；做基线静态分类；识别容器与运行时；读取匹配参考（macos-apps.md、go.md、package-js-cli.md）；用至少两条独立路径恢复元数据；把原始字符串当线索，重要字面量需确认偏移、xref 或可达数据流；之后才导入 Ghidra、IDA、Binary Ninja 或 radare2。
证据等级：Confirmed（容器元数据、构建信息、恢复的函数/包元数据、反汇编/xref、可达数据流）、Likely（多个独立静态信号一致但控制流未完全证明）、Present（字符串、包、符号、类型、权限、框架或资源存在但用途未证）、Unclear（工具冲突、元数据损坏或混淆阻碍）。不得把链接、权限、原始字符串或有效签名当作执行证据。
限制：.NET、JVM、Rust、Electron、Tauri、PE、ELF、WASM、固件暂无内置参考，只能套用通用流程并标注覆盖限制；恶意或未知样本应使用一次性 VM；避免逐字打印凭据类值；修改 macOS 辅助脚本或挂载安全行为后需在 macOS 运行 bats tests/macos_app_triage.bats，evals/evals.json 含人工审核的回归提示。